Por padrão, a função Resource Access Management (RAM) de worker dos clusters gerenciados do Container Service for Kubernetes (ACK) tem permissões limitadas. A partir de 17 de julho de 2023, o ACK revogará gradualmente as permissões da função RAM de worker dos clusters gerenciados para aumentar a segurança dos nós.
Versões afetadas
Clusters gerenciados do ACK, incluindo clusters padrão do ACK e clusters ACK Pro, criados a partir de 17 de julho de 2023 com versão 1.22.15-aliyun.1 ou posterior.
Os seguintes clusters não são afetados:
Clusters criados antes de 17 de julho de 2023.
Clusters com versão anterior à 1.22.15-aliyun.1.
Clusters criados por contas Alibaba Cloud inelegíveis para esta atualização.
Impacto
Antes da atualização, a função RAM de worker dos clusters gerenciados do ACK tinha permissões limitadas por padrão.
Após a atualização, novos clusters gerenciados do ACK não concedem nenhuma permissão por padrão à função RAM de worker.
Se sua aplicação precisar acessar a OpenAPI da Alibaba Cloud a partir do cluster ACK, use o recurso RAM Roles for Service Accounts (RRSA) para obter credenciais de acesso ao OpenAPI Explorer. Para mais informações, consulte Usar RRSA para controle de acesso no nível de pod.
Se sua aplicação depender da função RAM de worker, conceda manualmente as permissões necessárias a essa função. Para mais detalhes, consulte a seção Conceder permissões à função RAM de worker deste tópico.
Ao instalar o componente aliyun-acr-credential-helper em um novo cluster, instale a versão mais recente do componente.
Conceder permissões à função RAM de worker
Etapa 1: Crie uma política personalizada
Para saber como criar uma política personalizada, consulte Criar uma política personalizada.
Etapa 2: Anexar a política personalizada à função RAM de worker
Faça login no console do ACK. No painel de navegação à esquerda, clique em Clusters.
Na página Clusters, localize o cluster desejado e clique no nome dele.
Na página exibida, clique na aba Basic Information. Em seguida, clique no link ao lado do campo Worker RAM Role para acessar o console do RAM.
Na aba Permissions, clique em Grant Permission. Na seção Policy do painel Grant Permission, selecione Custom Policy na lista suspensa e escolha a política personalizada criada na etapa anterior.
Clique em Grant permissions.
Clique em Close.